目次
はじめに：なぜ今、IT監査チェックリストが重要なのか#
「IT監査って、何をどこまでチェックすればいいの？」
IT監査の現場で、この疑問を持つ担当者は少なくありません。特に初めてIT監査を担当する方や、監査を受ける側の情報システム部門の方にとって、その範囲と深さの判断は難しい課題です。
近年、サイバー攻撃の高度化、クラウドサービスの普及、リモートワークの定着など、IT環境は急速に変化しています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」によると、ランサムウェア被害や標的型攻撃は依然として上位に位置しており、企業のIT統制の重要性は増すばかりです。
本記事では、IT監査の実務担当者が現場ですぐに使えるチェックリストを、具体的な確認項目と実践ポイントとともに解説します。監査を実施する側、受ける側、どちらの立場の方にも役立つ内容を心がけました。
IT監査とは？基本概念の整理#
IT監査の定義と目的#
IT監査（Information Technology Audit）とは、組織のITシステム、情報資産、IT関連プロセスが適切に管理・運用されているかを第三者の視点で評価・検証する活動です。
主な目的は以下の3つです：
- 信頼性の確保：ITシステムが正確かつ安定的に稼働しているか
- セキュリティの担保：情報資産が適切に保護されているか
- コンプライアンスの遵守：法令・規制・社内規程に準拠しているか
IT監査の種類#
IT監査は、その目的や対象によっていくつかの種類に分類されます：
| 種類 | 概要 | 主な確認対象 |
|---|---|---|
| IT全般統制監査 | ITインフラ全体の統制状況を評価 | アクセス管理、変更管理、運用管理など |
| IT業務処理統制監査 | 個別アプリケーションの処理が正確か評価 | 入力・処理・出力の正確性 |
| 情報セキュリティ監査 | 情報資産の保護状況を評価 | 脆弱性管理、インシデント対応など |
| システム監査 | システムの信頼性・安全性・効率性を評価 | システム開発、運用、保守全般 |
本記事では、これらを横断的にカバーする実践的なチェックリストを提供します。
IT監査チェックリスト：8つの重点領域#
以下、IT監査において必ず確認すべき8つの領域について、具体的なチェック項目と実務ポイントを解説します。
1. ITガバナンス・体制#
概要：IT戦略が経営戦略と整合しているか、責任体制は明確かを確認する領域です。
チェック項目#
- IT戦略・方針が文書化され、経営層の承認を得ているか
- CIO/CISO等の責任者が任命され、権限と責任が明確か
- IT関連の委員会（セキュリティ委員会等）が定期的に開催されているか
- IT予算の策定・執行プロセスが定義されているか
- IT部門の組織図と職務分掌が最新化されているか
実務ポイント#
ここがポイント！
IT戦略文書が「作って終わり」になっていないかを確認しましょう。年に1回以上の見直しが行われ、経営会議等で報告されているかがチェックの鍵です。
具体例として、以下のような質問が効果的です：
- 「直近1年間で、IT戦略の見直しはありましたか？」
- 「その見直しの結果、具体的に何が変わりましたか？」
2. アクセス管理（アイデンティティ・アクセス管理）#
概要：システムやデータへのアクセス権限が適切に管理されているかを確認する、IT監査の最重要領域の一つです。
チェック項目#
- ユーザーアカウント管理規程が整備されているか
- アカウント申請・承認フローが文書化され、遵守されているか
- 入社・異動・退職時のアカウント処理が適時に行われているか
- 特権ID（管理者アカウント）の管理が厳格に行われているか
- 定期的なアクセス権限の棚卸しが実施されているか（推奨：年2回以上）
- パスワードポリシーが設定され、技術的に強制されているか
- 多要素認証（MFA）が重要システムに導入されているか
実務ポイント#
ここがポイント！
退職者のアカウント削除が「退職日当日」に完了しているか確認してください。調査によると、退職者アカウントの削除漏れがセキュリティインシデントの約20%に関係しているとされています。
確認方法の例：
- 直近3ヶ月の退職者リストを入手
- 各システムのアカウント一覧と突合
- 削除漏れがあれば、その原因を確認
また、特権IDについては以下の点を重点確認します：
- 共有アカウントになっていないか
- 利用時のログが取得されているか
- 定期的なパスワード変更が行われているか
3. 変更管理（チェンジマネジメント）#
概要：システムやプログラムの変更が適切なプロセスを経て行われているかを確認します。
チェック項目#
- 変更管理規程・手順書が整備されているか
- 変更申請から承認までのワークフローが定義されているか
- 変更の影響度に応じた分類基準があるか
- テスト環境と本番環境が分離されているか
- 本番移行前のテスト実施・承認記録が残っているか
- 緊急変更時の事後承認プロセスが定義されているか
- 変更履歴が適切に記録・保管されているか
実務ポイント#
ここがポイント！
「緊急変更」の定義と頻度に注目してください。緊急変更が全変更の20%を超えている場合、変更管理プロセスそのものに問題がある可能性があります。
確認すべき数値例：
- 月間の変更申請件数
- そのうち緊急変更の割合
- 変更起因の障害発生件数
4. 運用管理・監視#
概要：システムの日常運用が安定的に行われ、異常を早期に検知できる体制があるかを確認します。
チェック項目#
- 運用手順書が整備され、定期的に更新されているか
- バッチ処理のスケジュール管理と異常時対応が定義されているか
- システム監視項目（CPU、メモリ、ディスク、ネットワーク等）が設定されているか
- 監視アラートの通知先と対応フローが明確か
- ジョブ実行ログが適切に保管されているか
- 運用担当者の引継ぎ・ローテーションが適切に行われているか
実務ポイント#
ここがポイント！
「監視しています」という回答を鵜呑みにせず、実際のアラート発報履歴と対応記録を確認してください。
具体的な確認事項：
- 直近1ヶ月のアラート発報件数
- 対応完了までの平均時間
- 放置されているアラートの有無
5. バックアップ・リカバリ#
概要：データのバックアップが適切に取得され、必要時に復旧できる体制があるかを確認します。
チェック項目#
- バックアップ方針・計画が文書化されているか
- バックアップの対象データ、頻度、世代管理が定義されているか
- バックアップの成功・失敗が監視されているか
- バックアップ媒体の保管場所（オフサイト含む）が適切か
- リストア手順書が整備されているか
- 定期的なリストアテストが実施されているか（推奨：年1回以上）
- RTO（目標復旧時間）とRPO（目標復旧時点）が定義されているか
実務ポイント#
ここがポイント！
「バックアップを取っています」だけでは不十分です。リストアテストの実施記録を必ず確認してください。バックアップがあっても復元できなければ意味がありません。
重要な確認ポイント：
- 直近のリストアテスト実施日
- テストで発覚した問題と改善状況
- 本番データを使ったテストか、それともサンプルデータか
6. セキュリティ管理#
概要：情報資産を脅威から保護するための技術的・管理的対策が適切に実施されているかを確認します。
チェック項目#
技術的対策
- ファイアウォール、IDS/IPS（侵入検知/防止システム）が導入されているか
- エンドポイントセキュリティ（EDR、アンチウイルス等）が導入されているか
- 脆弱性診断が定期的に実施されているか（推奨：年1回以上）
- セキュリティパッチが適時に適用されているか
- ログが適切に取得・保管されているか（推奨：1年以上）
- 通信の暗号化（TLS等）が適切に実施されているか
管理的対策
- 情報セキュリティポリシーが策定・周知されているか
- 情報資産の分類・管理基準が定義されているか
- セキュリティ教育が全従業員に実施されているか（推奨：年1回以上）
- 標的型攻撃メール訓練が実施されているか
実務ポイント#
ここがポイント！
脆弱性診断の結果と、その後の対応状況をセットで確認してください。診断を実施しても、発見された脆弱性を放置していては意味がありません。
確認すべき内容：
- 直近の脆弱性診断実施日と対象範囲
- 発見された脆弱性の件数と重要度
- High/Critical の脆弱性への対応完了率と対応期限
7. インシデント管理#
概要：セキュリティインシデントや障害発生時に適切に対応できる体制・プロセスがあるかを確認します。
チェック項目#
- インシデント対応手順書が整備されているか
- インシデントの定義と分類基準が明確か
- 連絡体制（エスカレーションルート）が定義されているか
- インシデント発生時の初動対応が訓練されているか
- インシデント記録が適切に残されているか
- インシデント後の振り返り（再発防止策）が実施されているか
- 関係機関（警察、IPA等）への報告基準が明確か
実務ポイント#
ここがポイント！
「インシデントはゼロです」という回答には注意が必要です。本当にゼロなのか、それとも検知・報告の仕組みが機能していないのかを見極めてください。
確認のアプローチ例：
- 「軽微なものを含めて、過去1年間で報告された事象を教えてください」
- 「ヒヤリハットの報告制度はありますか？」
8. 外部委託管理（ベンダー管理）#
概要：IT業務を外部委託している場合、委託先の管理が適切に行われているかを確認します。
チェック項目#
- 委託先選定基準・評価基準が定義されているか
- 委託契約にセキュリティ要件が含まれているか
- 秘密保持契約（NDA）が締結されているか
- 委託先のセキュリティ対策状況を定期的に確認しているか
- 再委託の有無と管理状況が把握されているか
- 委託先でのインシデント発生時の報告義務が契約に含まれているか
- 契約終了時のデータ消去・返却手順が定義されているか
実務ポイント#
ここがポイント！
クラウドサービス（SaaS/IaaS/PaaS）の利用が増加する中、責任分界点の理解が重要です。クラウド事業者と自社、それぞれの責任範囲を明確にしているか確認してください。
確認すべき書類：
- クラウドサービス利用規約
- SLA（サービスレベル契約）
- セキュリティホワイトペーパー
- SOC2レポート等の第三者認証
IT監査の実施手順：5つのステップ#
チェックリストを効果的に活用するため、IT監査の基本的な実施手順を整理します。
ステップ1：計画策定（Planning）#
- 監査目的・範囲の決定
- 監査チームの編成
- スケジュールの策定
- 監査対象部門への通知
実務のコツ：監査範囲は「広く浅く」より「重点領域を深く」を意識しましょう。過去の監査結果、インシデント履歴、経営者の関心事項を踏まえて優先順位を決めます。
ステップ2：予備調査（Preliminary Review）#
- 関連規程・文書の入手と確認
- 前回監査結果の確認
- システム構成・組織体制の把握
- インタビュー対象者の選定
実務のコツ：事前に入手した文書を精読し、質問事項を整理しておくことで、現地調査の効率が大幅に向上します。
ステップ3：現地調査（Fieldwork）#
- 文書・記録の閲覧
- 担当者へのインタビュー
- 実機確認・設定確認
- サンプリングテスト
実務のコツ：「規程に書いてあること」と「実際に行われていること」の乖離を見つけることが重要です。文書だけでなく、必ず実態を確認してください。
ステップ4：監査報告（Reporting）#
- 発見事項の整理
- リスク評価・優先度付け
- 改善提案の作成
- 監査報告書の作成・提出
実務のコツ：発見事項は「事実」「リスク」「改善提案」をセットで記載します。改善提案は実現可能で具体的なものを心がけましょう。
ステップ5：フォローアップ（Follow-up）#
- 改善状況の確認
- 未対応事項の督促
- 次回監査への反映
実務のコツ：フォローアップまでが監査です。改善が完了するまで継続的に状況を確認しましょう。
よくある質問（FAQ）#
Q1：IT監査の頻度はどれくらいが適切ですか？#
A1：一般的に、IT全般統制監査は年1回の実施が推奨されます。ただし、以下の状況では追加の監査や頻度の見直しが必要です：
- 重大なシステム変更やリプレイスがあった場合
- セキュリティインシデントが発生した場合
- M&Aや組織再編があった場合
- 法令・規制の変更があった場合
また、上場企業の場合、J-SOX（内部統制報告制度）対応として、IT統制の評価は毎年必須となります。金融機関では、金融庁検査や日銀考査に備え、より高頻度での自己点検が求められます。
Q2：IT監査とセキュリティ診断の違いは何ですか？#
A2：両者は目的とアプローチが異なります。
| 項目 | IT監査 | セキュリティ診断 |
|---|---|---|
| 主な目的 | 統制・プロセスの評価 | 技術的脆弱性の発見 |
| 評価対象 | 規程・運用・管理体制 | システム・ネットワーク |
| 実施方法 | 文書確認・インタビュー中心 | ツール診断・手動検査 |
| アウトプット | 統制上の課題・改善提案 | 脆弱性リスト・対策案 |
IT監査は「仕組みが適切に機能しているか」を評価し、セキュリティ診断は「技術的な穴がないか」を検査します。両者は補完関係にあり、どちらも重要です。
Q3：監査で指摘を受けた場合、どう対応すべきですか？#
A3：指摘を受けた場合は、以下の手順で対応することをお勧めします。
1. 指摘内容の正確な理解
- 何が問題なのか、なぜ問題なのかを明確にする
- 不明点があれば監査人に確認する
2. リスク評価と優先順位付け
- 指摘事項のリスクレベルを評価
- 対応の優先順位を決定
3. 改善計画の策定
- 具体的な改善策を検討
- 担当者、期限、必要リソースを明確化
4. 経営層への報告と承認
- 改善計画を経営層に報告
- 必要な予算・リソースの確保
5. 改善の実施とモニタリング
- 計画に沿って改善を実施
- 進捗を定期的に確認
6. 完了報告とエビデンス保管
- 改善完了を監査人に報告
- 対応の証跡を保管
重要なのは、指摘を「減点」と捉えるのではなく、「改善の機会」と捉えることです。真摯に対応することで、組織のIT統制レベルは着実に向上します。
まとめ：IT監査チェックリストを活用するために#
本記事では、IT監査の現場で使える実践的なチェックリストを、8つの重点領域に分けて解説しました。
重点領域の振り返り#
- ITガバナンス・体制：戦略と体制の整備
- アクセス管理：「誰が何にアクセスできるか」の統制
- 変更管理：システム変更のコントロール
- 運用管理・監視：安定稼働の確保
- バックアップ・リカバリ：有事への備え
- セキュリティ管理：技術的・管理的対策
- インシデント管理：問題発生時の対応力
- 外部委託管理：サプライチェーンリスクへの対応
実務で成功するための3つのポイント#
1. 形式より実態を重視する 規程や文書が整備されていても、実際に運用されていなければ意味がありません。「書いてあること」と「やっていること」の一致を確認してください。
2. 継続的な改善サイクルを回す IT監査は一度やって終わりではありません。指摘事項の改善、環境変化への対応を継続的に行うことで、統制レベルは向上します。
3. コミュニケーションを大切にする 監査は「粗探し」ではなく、組織の改善を支援する活動です。監査人と被監査部門が協力関係を築くことで、より効果的な監査が実現します。
最後に#
IT環境が複雑化・高度化する中、IT監査の重要性は今後ますます高まります。本記事のチェックリストが、皆様の実務の一助となれば幸いです。
監査の現場では、「完璧な統制」を目指すのではなく、「リスクに見合った合理的な統制」を追求することが重要です。自組織のリスク特性を踏まえ、優先順位を付けて取り組んでいただければと思います。
関連キーワード：IT監査、IT統制、情報セキュリティ監査、システム監査、アクセス管理、変更管理、IT全般統制、J-SOX、内部監査、チェックリスト
IT監査 セキュリティ